14 августа 2026 года Роскомнадзор провёл День открытых дверей «Итоги и практика в сфере персональных данных». По сообщению ведомства, за 2025 год и первое полугодие 2026 года было проверено почти 160 тысяч интернет-ресурсов, на которых происходили сбор и обработка персональных данных. Почти на 90% проверенных площадок выявлены признаки нарушений.
Эта статистика не означает, что нарушителями признаны 90% всех сайтов. Она показывает другое: цифровая площадка должна рассматриваться не как отдельная страница с формой и политикой, а как часть реального процесса обработки данных. Необходимо сопоставить цели, поля форм, подключённые сервисы, места хранения, получателей данных, документы и сведения, переданные Роскомнадзору.
Коротко: что проверить на сайте
| Объект проверки | Что установить | Какой риск выявляется |
|---|---|---|
| Формы обратной связи, заказа и регистрации | Какие сведения собираются и зачем нужно каждое поле | Избыточный сбор или неопределённая цель |
| Правовое основание | На каком основании обрабатываются данные в каждом процессе | Согласие используется формально или основание отсутствует |
| Политика обработки | Соответствует ли документ реальным процессам сайта | Опубликованный текст расходится с практикой |
| Согласия и уведомления в интерфейсе | Как пользователь получает информацию и выражает волю | Нельзя подтвердить информированность и однозначность действия |
| Аналитика, виджеты и внешние сервисы | Какие данные получают третьи лица и где они обрабатываются | Неучтённая передача, поручение обработки или трансграничная передача |
| Хранение и удаление | Где находятся записи, как определены сроки и удаление | Данные сохраняются дольше, чем требует цель |
| Уведомление Роскомнадзора | Совпадают ли заявленные цели и способы с фактическими | Реестр оператора содержит неполные или устаревшие сведения |
Формы сайта и состав собираемых данных
Проверку целесообразно начинать не с текста политики, а с инвентаризации точек сбора. К ним относятся не только заметные формы заявки или регистрации, но и личный кабинет, подписка, обратный звонок, чат, формы вакансий, загрузка документов, комментарии и иные механизмы, через которые сведения о человеке поступают оператору.
Для каждой точки сбора необходимо зафиксировать:
- конкретную цель обработки;
- категории субъектов;
- перечень собираемых данных;
- действия с данными от получения до удаления;
- правовое основание;
- получателей и привлечённых обработчиков;
- информационные системы и места хранения;
- срок обработки и условие прекращения.
Проверяйте необходимость каждого поля
Статья 5 Федерального закона от 27 июля 2006 года № 152-ФЗ требует, чтобы содержание и объём данных соответствовали заявленным целям, а обрабатываемые сведения не были избыточными. Поэтому вопрос «это поле удобно бизнесу» недостаточен. Нужно объяснить, почему без конкретного сведения нельзя достигнуть заявленной цели.
Например, если для ответа на вопрос достаточно телефона или электронной почты, обязательный сбор даты рождения, адреса или паспортных данных требует отдельного обоснования. Поля, добавленные «на будущее», создают риск несовместимости с первоначальной целью и нарушения принципа минимизации.
Название кнопки должно соответствовать происходящему
Пользователь должен понимать результат действия. Если кнопка одновременно отправляет заявку, оформляет рекламную подписку и создаёт запись в нескольких внешних системах, один общий текст рядом с формой не всегда позволяет разделить эти процессы и их основания.
Это особенно важно, когда данные предполагается использовать не только для ответа на обращение, но и для самостоятельной маркетинговой цели. Разные цели необходимо описывать раздельно и не объединять таким образом, чтобы пользователь не мог оценить каждую из них.
Политика, согласие и другие основания обработки
Политика обработки персональных данных и согласие выполняют разные функции. Политика описывает применяемые оператором правила и меры. Согласие является одним из возможных правовых оснований, но закон предусматривает и другие основания — например, необходимость исполнения договора, стороной которого является субъект данных.
Ссылка на политику рядом с формой не заменяет определение правового основания, а наличие согласия не исправляет неопределённую цель или избыточный состав данных.
Если оператор использует согласие, оно должно отвечать требованиям статьи 9 Закона № 152-ФЗ: быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов и информации, которые подтверждает или подписывает субъект.
Что сопоставить в политике
Опубликованный документ следует сравнить с фактической работой сайта по нескольким направлениям:
- Указаны ли корректные сведения об операторе.
- Перечислены ли реальные цели, категории субъектов и состав данных.
- Описаны ли способы обработки и сроки.
- Учтены ли подрядчики, виджеты, системы аналитики и иные получатели.
- Определён ли порядок прекращения обработки и уничтожения данных.
- Объяснено ли, как субъект может направить обращение и реализовать свои права.
Политика должна быть доступна без ограничений. Если сбор осуществляется с использованием сайта, оператор обязан обеспечить доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите.
Аналитика, виджеты и сторонние сервисы
Фактический поток данных на сайте часто шире, чем перечень полей в форме. Сведения могут поступать в систему аналитики, CRM, сервис рассылок, онлайн-чат, коллтрекинг, облачное хранилище, сервис защиты от спама или инфраструктуру подрядчика.
Нельзя автоматически считать любой файл cookie или технический параметр персональными данными без анализа контекста. Одновременно нельзя исключать их из проверки только потому, что они не содержат имени. Закон относит к персональным данным любую информацию, которая прямо или косвенно относится к определённому или определяемому физическому лицу. Значение имеют состав сведений, возможность идентификации, цель и фактическое использование.
Для каждого сервиса задайте пять вопросов
- Какие сведения сервис получает технически, а не только по описанию в договоре?
- Для какой цели они передаются и соответствует ли она заявленной пользователю?
- Выступает ли поставщик самостоятельным оператором или обрабатывает данные по поручению?
- Где находятся используемые базы данных и происходит ли трансграничная передача?
- Как прекращается обработка и удаляются сведения после отключения сервиса?
При сборе персональных данных граждан Российской Федерации через интернет необходимо отдельно проверить выполнение требования о записи, систематизации, накоплении, хранении, уточнении и извлечении таких данных с использованием баз данных, находящихся на территории России. Наличие российского домена или российского интерфейса сервиса само по себе этого не подтверждает.
Соответствие сайта уведомлению Роскомнадзора
До начала обработки оператор по общему правилу уведомляет Роскомнадзор о намерении осуществлять обработку персональных данных. Исключения перечислены в части 2 статьи 22 Закона № 152-ФЗ и требуют проверки применительно к конкретному процессу.
Для действующего сайта недостаточно однажды попасть в реестр операторов. Нужно сопоставлять фактическую обработку со сведениями, содержащимися в уведомлении:
- цели обработки;
- категории субъектов и персональных данных;
- способы обработки;
- правовые основания;
- меры защиты;
- сведения о местонахождении баз данных;
- начало обработки и условия её прекращения.
Если сообщённые сведения изменились, оператор обязан направить информацию для их актуализации в порядке статьи 22. Причиной проверки могут стать новая форма, подключение CRM или аналитики, запуск подбора персонала, изменение подрядчика, появление личного кабинета или расширение состава собираемых данных.
Практическая проверка сайта
Проверку удобно проводить по цепочке «страница → действие пользователя → передаваемые данные → система-получатель → документ → уведомление Роскомнадзора».
1. Составьте карту точек сбора
Просмотрите все маршруты сайта, включая мобильную версию, всплывающие окна и формы, которые появляются после выбора услуги. Зафиксируйте не только видимые поля, но и технически передаваемые параметры.
2. Проверьте цели и минимизацию
Для каждого поля укажите цель и основание. Необязательные для результата сведения сделайте необязательными или исключите. Не объединяйте несовместимые цели в одну формулировку.
3. Проследите путь данных
Проверьте, куда попадает отправленная форма, кто получает уведомление, создаётся ли запись в CRM, сохраняется ли резервная копия и какие подрядчики имеют доступ.
4. Сопоставьте интерфейс и документы
Проверьте тексты рядом с формами, политику, согласия, договоры с обработчиками и внутренний реестр процессов. Формулировки должны описывать один и тот же фактический процесс.
5. Сверьте сведения в реестре операторов
Сопоставьте карту обработки с последним уведомлением Роскомнадзора. Зафиксируйте расхождения и определите, какие сведения нужно актуализировать.
6. Оформите результаты и корректирующие действия
Результатом проверки должна быть не общая отметка «сайт соответствует», а перечень выявленных расхождений с ответственными, сроками и доказательствами устранения. После изменений необходимо повторно проверить реальную передачу данных, а не только тексты документов.
Что важно учесть оператору
Последние разъяснения Роскомнадзора подтверждают процессный подход: сначала определяются цель, правовое основание, минимально необходимый объём данных и срок обработки, затем эти решения фиксируются в документах и уведомлении ведомства.
Для сайта это означает, что проверка не должна ограничиваться наличием политики и флажка согласия. Необходимо подтвердить связку «цель → поле формы → основание → получатель → хранение → удаление» и сопоставить её с опубликованными документами и реестром операторов.
Частые вопросы
Любая ли форма на сайте означает обработку персональных данных?
Форма связана с обработкой персональных данных, если через неё собираются сведения, относящиеся прямо или косвенно к определённому или определяемому физическому лицу. Оценивать нужно не название поля, а состав сведений, цель и возможность отнести их к человеку.
Достаточно ли разместить рядом с формой ссылку на политику?
Нет. Политика информирует о порядке обработки, но сама по себе не создаёт правового основания. Для каждого процесса оператор должен определить цель, состав данных, действия, срок и предусмотренное законом основание обработки.
Нужно ли получать согласие для каждой обработки данных на сайте?
Не всегда. Закон предусматривает разные основания обработки. Согласие требуется, когда оператор опирается именно на него; при этом оно должно быть конкретным, предметным, информированным, сознательным и однозначным.
Нужно ли учитывать веб-аналитику и другие сторонние сервисы?
Да. Необходимо установить, какие сведения получает каждый сервис, для какой цели, куда они передаются и хранятся, кто участвует в обработке и как это отражено в документах оператора.
Когда нужно актуализировать уведомление Роскомнадзора?
Если сведения, ранее сообщённые Роскомнадзору, изменились, оператор обязан направить информацию об изменениях в порядке и сроки, установленные статьёй 22 Закона № 152-ФЗ. Поэтому уведомление следует сопоставлять с фактическими процессами и сервисами сайта.
Означают ли итоги Роскомнадзора, что 90% всех сайтов нарушают закон?
Нет. Ведомство сообщило о признаках нарушений почти на 90% проверенных интернет-ресурсов, на которых происходили сбор и обработка персональных данных. Эту оценку нельзя автоматически распространять на все сайты.
Официальные источники
Итоги Дня открытых дверей Роскомнадзора от 14 августа 2026 года — результаты работы ведомства за 2025 год и первое полугодие 2026 года, организация процессов обработки данных и вопросы операторов.
Запись Дня открытых дверей «Итоги и практика в сфере персональных данных» — официальная видеозапись выступлений и сессии вопросов и ответов.
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» — принципы, основания и условия обработки, обязанности оператора и уведомление Роскомнадзора.
Портал персональных данных Роскомнадзора — реестр операторов, формы уведомлений и официальные материалы ведомства.
Материал подготовлен на основании официальных источников и актуален на 1 сентября 2026 года.